Kurz gesagt: Am 6. Februar 2026 teilte die TRISA AG aus Triengen (LU) mit, dass ein Ransomware-Angreifer kurzzeitig in eng limitierte Bereiche ihres IT-Systems eingedrungen war. Laut Unternehmen wurde ein klar begrenzter Teil der Unternehmensdaten kopiert, der laufende Betrieb und die Lieferfähigkeit blieben aber jederzeit gewährleistet. Gegenüber Medien bezifferte TRISA den kopierten Anteil auf weniger als ein Prozent der Unternehmensdaten.
Das Wichtigste in Kürze
- Datum: Mitteilung der TRISA AG vom 6. Februar 2026 (TRISA).
- Unternehmen: TRISA AG, Hersteller von Zahn- und Haarbürsten mit Sitz in Triengen, Kanton Luzern (TRISA).
- Angriffsart: Ransomware-Angriff; laut Medienberichten bekannte sich die Gruppe Lynx dazu (blue News/SDA).
- Bestätigte Auswirkung: Ein klar begrenzter Teil der Unternehmensdaten wurde kopiert; Betrieb und Lieferfähigkeit blieben uneingeschränkt (TRISA).
- Reaktion: Meldepflichten umgehend erfüllt, Anzeige erstattet, Systeme unter Überwachung interner und externer Sicherheitsexperten (TRISA).
Was ist bestätigt?
In ihrer Mitteilung «IT-Sicherheitsvorfall eingedämmt» vom 6. Februar 2026 schreibt die TRISA AG, einem Ransomware-Angreifer sei es für kurze Zeit gelungen, in eng limitierte Bereiche des IT-Systems einzudringen. Dank sofort eingeleiteter Massnahmen seien der laufende Betrieb und die Lieferfähigkeit zu jedem Zeitpunkt uneingeschränkt gewährleistet gewesen.
Ein klar begrenzter Teil der Unternehmensdaten wurde laut TRISA kopiert. Das Unternehmen gibt an, den Meldepflichten umgehend nachgekommen zu sein und Anzeige erstattet zu haben. Sämtliche IT-Systeme funktionierten einwandfrei und würden weiterhin durch interne und externe Sicherheitsexperten überwacht.
Die Nachrichtenagentur SDA berichtete unter Berufung auf das Portal Inside-IT, TRISA habe den Vorfall bestätigt. Demnach wurden weniger als ein Prozent der Unternehmensdaten kopiert, darunter möglicherweise Kunden- oder Mitarbeiterdaten. Alle Betroffenen seien informiert worden.
Was ist nicht bekannt?
- Wie die Angreifer in das IT-System gelangten, ist nicht öffentlich dokumentiert.
- Welche Datenkategorien konkret kopiert wurden und wie viele Personen betroffen sind, hat TRISA nicht veröffentlicht.
- Die Angreifer behaupten laut SDA, mehr als ein Terabyte Daten gestohlen zu haben, und setzten eine Frist von einer Woche. Diese Angabe stammt von den Tätern und ist nicht unabhängig bestätigt.
- Ob ein Lösegeld gefordert oder bezahlt wurde, ist nicht bekannt.
- Zu den finanziellen Folgen und zu einer allfälligen Versicherung macht TRISA keine Angaben.
Einordnung für die Cyberversicherung
Aus dem Vorfall allein lässt sich keine Deckungszusage ableiten. Je nach Vertrag können unter anderem Incident Response und IT-Forensik, Rechts- und Datenschutzberatung, die Benachrichtigung betroffener Personen, Datenwiederherstellung oder Krisenkommunikation relevante Bausteine sein. Da der Betrieb laut TRISA nicht unterbrochen wurde, zeigt der Fall auch: Bei einem Datenabfluss ohne Produktionsausfall stehen eher Kosten für Analyse, Rechtsberatung und Kommunikation im Vordergrund als eine Betriebsunterbrechung. Ob und in welchem Umfang eine Leistung besteht, hängt vom Vertragswortlaut, von Sublimiten und Ausschlüssen, von vereinbarten Sicherheitsobliegenheiten und vom konkreten Schadenprozess ab.
Lehren für Schweizer KMU
- Segmentierung vorbereiten: TRISA konnte den Angriff laut eigener Darstellung auf eng limitierte Bereiche begrenzen. Trennen Sie Büro-IT, Produktion und besonders schützenswerte Daten in eigene Netzwerkzonen.
- Sofortmassnahmen festlegen: Halten Sie schriftlich fest, wer Systeme isolieren darf, welche externen Forensik-Partner aufgeboten werden und wie die Lieferfähigkeit gesichert wird.
- Meldepflichten vorab klären: Prüfen Sie im Voraus, welche Meldungen Sie treffen müssen, etwa an den EDÖB nach dem Datenschutzgesetz, und wie Sie betroffene Personen informieren.
- Anzeige erstatten: Planen Sie die Strafanzeige bei der Kantonspolizei fest in den Notfallablauf ein und sichern Sie Beweise vor der Bereinigung.
- Täterangaben nüchtern prüfen: Im Fall TRISA stehen die Terabyte-Behauptung der Täter und die Angabe des Unternehmens nebeneinander. Eine eigene forensische Analyse der tatsächlich kopierten Daten ist die Grundlage für Kommunikation und Meldungen.
- Kommunikation vorbereiten: Eine kurze, faktenbasierte Mitteilung wie jene von TRISA lässt sich besser schreiben, wenn Vorlagen und Freigabewege schon bestehen.
- Versicherung gezielt prüfen: Klären Sie, welche Bausteine Ihr Vertrag für Forensik, Rechtsberatung und Benachrichtigung vorsieht und welche Obliegenheiten gelten.